เครื่องมือค้นหา DMARC: มีบันทึกอยู่จริง แต่แค่นั้นยังไม่เพียงพอ
บางโดเมนดูเหมือนจะได้รับการปกป้องอย่างดี จนกระทั่งอีเมลเริ่มทำงานผิดปกติ แคมเปญทำงานได้แย่กว่าที่คาดไว้ ข้อความยืนยันไม่มาถึง ลูกค้าสอบถามเกี่ยวกับข้อความที่พวกเขาไม่เคยเห็น หรือมีการพยายามแอบอ้างเป็นแบรนด์ การตรวจสอบเบื้องต้นดูเหมือนจะยืนยันว่าทุกอย่างเรียบร้อยดี: DMARC ถูกเผยแพร่แล้ว DNS ตอบสนอง และนโยบายถูกระบุไว้ในตำแหน่งที่ควรอยู่ ถึงกระนั้นก็ยังมีบางอย่างที่ไม่ลงตัว
สาเหตุมักจะไม่ซับซ้อนเท่ากับการวินิจฉัยทางเทคนิค โดเมนไม่ได้ส่งข้อความจากที่เดียว อาจมีอีเมลของบริษัทอยู่ใน Google Workspace หรือ Microsoft 365 แพลตฟอร์มการตลาด CRM ระบบการเรียกเก็บเงิน การสนับสนุน แบบฟอร์มเว็บไซต์ และระบบอัตโนมัติบางอย่างที่ยังคงทำงานจากผู้ให้บริการโฮสติ้ง ระบบเหล่านี้ทั้งหมดสามารถใช้ชื่อบริษัทได้ แต่ไม่ได้หมายความว่าจะตรวจสอบความถูกต้องด้วยระดับความน่าเชื่อถือเดียวกันเสมอไป
此时，DMARC 查询工具具有价值。并非因为它能“解决”域名问题，而是因为它能显示已发布的策略是否与收紧策略前应具备的最低现实条件相匹配：合理的 SPF、相应位置已激活的 DKIM、已配置的报告机制，以及一项并非盲目执行的策略。.
รายละเอียดที่น่ากังวลคือ DMARC ไม่ได้ล้มเหลวเฉพาะเมื่อเขียนนโยบายไม่ดีเท่านั้น แต่ยังล้มเหลวเมื่อนำไปใช้กับโครงสร้างพื้นฐานที่ยุ่งเหยิงอีกด้วย นโยบายที่อ่อนแอเปิดช่องให้เกิดการปลอมแปลงและการหลอกลวงได้มากขึ้น นโยบายที่เข้มงวด ซึ่งเปิดใช้งานก่อนตรวจสอบผู้ส่งที่ถูกต้อง สามารถบล็อกข้อความที่สำคัญได้ เช่น ใบแจ้งหนี้ ตั๋ว การรีเซ็ตรหัสผ่าน การแจ้งเตือนบัญชี หรือการตอบกลับจากฝ่ายสนับสนุน
อันตรายมักไม่ปรากฏในกล่องจดหมายหลัก
อีเมลของบริษัทที่มองเห็นได้มักจะเป็นสิ่งแรกที่ผู้คนตรวจสอบ ปัญหาอยู่ที่ส่วนอื่นๆ เช่น จดหมายข่าว ใบเสร็จรับเงินอัตโนมัติ การแจ้งเตือน แบบฟอร์ม แพลตฟอร์มที่เพิ่มเข้ามาอย่างเร่งรีบ และโดเมนย่อยที่ไม่มีใครกลับมาดูอีกหลังจากตั้งค่าเสร็จแล้ว นั่นเป็นเหตุผลว่าทำไมการปกป้องอีเมลจึงมีความสำคัญ ความเชี่ยวชาญในการรับมือกับภัยคุกคามต่างๆ เช่น การปลอมแปลงข้อมูลและการหลอกลวงทางอีเมล มันไม่ได้ขึ้นอยู่กับการเผยแพร่นโยบายเพียงอย่างเดียว แต่ยังขึ้นอยู่กับการรู้ว่าระบบใดบ้างที่ได้รับอนุญาตให้สื่อสารในนามของโดเมนนั้นด้วย
- นโยบายปัจจุบันของโดเมน: ไม่มี, การกักกัน การ ปฏิเสธ.
- บริการที่ส่งอีเมลได้จริง ไม่ใช่แค่บริการที่ระบุไว้ในเอกสารเท่านั้น
- การตรวจสอบความสอดคล้องของ SPF และ DKIM กับโดเมนที่ผู้รับสามารถมองเห็นได้
- การมีอยู่ของรายงาน DMARC ที่ใครๆ ก็สามารถตรวจสอบได้
- สถานะของโดเมนย่อยที่ใช้สำหรับแคมเปญ การสนับสนุน หรือข้อความธุรกรรม
การตรวจสอบอาจแสดงผลลัพธ์ที่ถูกต้อง แต่ก็ยังไม่บอกคุณว่าระบบการเรียกเก็บเงินใช้เส้นทางที่แตกต่างออกไป นอกจากนี้ยังอาจเปิดเผยสิ่งที่ตรงกันข้ามได้เช่นกัน กล่าวคือ โดเมนหลักดูมีการจัดการที่ดี แต่โดเมนย่อยที่ส่งอีเมลมากที่สุดกลับมีนโยบายที่อ่อนแอ ความแตกต่างนี้มีความสำคัญมากกว่าการอ่าน DNS แบบผิวเผินใดๆ
จะเข้าใจ DMARC ได้ดีที่สุดโดยการดูตัวอย่างอีเมลที่จะไม่ได้รับการตรวจสอบ
การจัดเรียงคำมีความสำคัญมากกว่าการมีตัวย่อ
SPF ทำหน้าที่อนุญาตเซิร์ฟเวอร์ DKIM ทำหน้าที่ลงนามข้อความ DMARC ตรวจสอบผลลัพธ์เหล่านั้นกับโดเมนของผู้ส่ง และแจ้งให้ผู้รับทราบว่าจะต้องทำอย่างไรหากการตรวจสอบสิทธิ์ไม่ตรงกัน ข้อผิดพลาดคือการเข้าใจผิดว่าการ "เปิดใช้งาน" SPF และ DKIM นั้นเพียงพอแล้ว หากการตั้งค่าไม่สอดคล้องกับโดเมนที่มองเห็นได้ การป้องกันก็จะไม่สมบูรณ์
p=ไม่มี สังเกต. p = การกักกัน ขอให้แยกข้อความที่น่าสงสัยออกจากกัน p = ปฏิเสธ ระบบจะขอให้คุณปฏิเสธอีเมลเหล่านั้น การสลับระหว่างนโยบายเหล่านี้ไม่ได้เป็นเพียงแค่การตกแต่งเท่านั้น แต่ยังเปลี่ยนชะตากรรมของอีเมลที่ส่งไม่สำเร็จด้วย และอีเมลที่ส่งไม่สำเร็จก็ไม่ได้หมายความว่าจะเป็นอีเมลหลอกลวงเสมอไป บางครั้งอาจเป็นอีเมลที่ถูกต้อง แต่ถูกส่งมาจากเครื่องมือที่ตั้งค่าไม่ถูกต้อง
การสแกน DNS อย่างรวดเร็วช่วยป้องกันการตัดสินใจที่ระมัดระวังมากเกินไป
ผลการค้นหาจะแสดงจุดเริ่มต้น: ว่าโดเมนนั้นกำลังสังเกตการณ์ กด หรือบล็อกอยู่ นอกจากนี้ยังช่วยให้คุณดูฟิลด์ต่างๆ เช่น สอง, พีซี, ฉันเห็นด้วย. และ เอเอสเอฟซึ่งจะช่วยให้เข้าใจว่ามีการควบคุมมากน้อยเพียงใด และรายงานเหล่านั้นส่งไปที่ใด
สิ่งที่ไม่ได้ปรากฏในบันทึกนั้นมีความสำคัญไม่แพ้กัน ได้แก่ ใครเป็นผู้เพิ่มผู้ให้บริการรายล่าสุด การตลาดใช้โดเมนย่อยใด ระบบ CRM ใช้ลายเซ็น DKIM ของตัวเองหรือไม่ หรือเว็บไซต์ยังคงส่งการแจ้งเตือนจากเซิร์ฟเวอร์อยู่หรือไม่ เครื่องมือนี้แสดงบันทึก แต่การตรวจสอบที่แท้จริงจะเริ่มต้นเมื่อเปรียบเทียบบันทึกนั้นกับรายการผู้ส่ง
สิ่งที่การค้นหาตรวจพบ และสิ่งที่ไม่ควรส่งต่อให้ผู้อื่นทำ
การขาดรายการในรีจิสทรี ไวยากรณ์ที่ผิดพลาด นโยบายที่อนุญาตมากเกินไป หรือที่อยู่สำหรับรายงานที่สะกดผิด เป็นปัญหาที่ตรวจพบได้ง่าย การตั้งค่าที่ไม่สอดคล้องกับเจตนารมณ์ของทีมก็ตรวจพบได้ง่ายเช่นกัน บางคนอาจคิดว่าพวกเขากำลังรักษาความปลอดภัยของโดเมน แต่รีจิสทรีทำหน้าที่เพียงแค่ตรวจสอบ หรือบางคนอาจคิดว่าพวกเขากำลังรายงานเหตุการณ์ แต่ไม่มีใครได้รับรายงานเหล่านั้น
ส่วนที่ไม่สามารถทำให้เป็นระบบอัตโนมัติได้ง่ายๆ คือการตีความ โดเมนที่มี p=ไม่มี อาจอยู่ในขั้นตอนการสังเกตที่ถูกต้อง โดเมนที่มี p = ปฏิเสธ มันอาจได้รับการปกป้องอย่างดี หรืออาจกำลังจะบุกรุกอีเมลที่ถูกต้องตามกฎหมาย หากไม่มีบริบท ป้ายกำกับนั้นก็บอกอะไรได้น้อยกว่าที่เห็น
การพิจารณาข้อมูล DMARC จะเปลี่ยนแปลงการตัดสินใจเมื่อใด?
เมื่อความสามารถในการส่งมอบเริ่มทำให้การวินิจฉัยคลุมเครือ
ปัญหาการส่งอีเมลไม่ได้เกี่ยวข้องกับการตรวจสอบสิทธิ์เพียงอย่างเดียว ชื่อเสียง รายชื่อ ปริมาณ เนื้อหา และข้อร้องเรียนก็มีส่วนเกี่ยวข้องเช่นกัน แต่หาก SPF, DKIM หรือ DMARC ทำงานไม่สอดคล้องกัน การวิเคราะห์ทั้งหมดที่ตามมาก็จะผิดพลาด คุณอาจต้องปรับการตั้งค่าแคมเปญ เปลี่ยนเทมเพลต หรือโทษผู้ให้บริการ ในขณะที่ปัญหาอาจอยู่ที่เส้นทางการส่งที่ไม่ได้ตรวจสอบเลย
ในโดเมนที่มีระบบส่งอีเมลหลายระบบ การค้นหาข้อมูลจะทำหน้าที่เป็นภาพรวมเบื้องต้น มันไม่ได้บอกเรื่องราวทั้งหมด แต่จะแสดงให้เห็นว่าควรตรวจสอบชื่อเสียงต่อไปหรือไม่ หรือควรให้ความสำคัญกับการตรวจสอบความถูกต้องก่อน
การเสริมความแข็งแกร่งจะมีประโยชน์ก็ต่อเมื่อคุณรู้แล้วว่าคุณไม่ต้องการบล็อกอะไรบ้าง
ขึ้น ไม่มี ก การกักกัน การ ปฏิเสธ ไม่ควรทำเช่นนี้เพื่อปิดงานที่ค้างอยู่ ควรทำเมื่อระบุผู้ส่งที่ถูกต้องแล้ว และเข้าใจถึงผลกระทบที่อาจเกิดขึ้นจากความล้มเหลวแล้ว ในกรณีของอีเมล ความเสียหายอาจไม่ปรากฏให้เห็นในแดชบอร์ดทางเทคนิคเสมอไป แต่จะปรากฏขึ้นเมื่อผู้ใช้ไม่ได้รับใบแจ้งหนี้ ลิงก์สำหรับเข้าใช้งาน หรือการตอบกลับจากฝ่ายสนับสนุน
ในบางกรณี การดำเนินการต่อไปเป็นเรื่องที่สมเหตุสมผล แต่ในบางกรณี การรอ ตรวจสอบรายงาน และแก้ไข DKIM กับผู้ให้บริการภายนอกอาจเป็นทางออกที่ดีที่สุด ความปลอดภัยจะดีขึ้นเมื่อนโยบายสะท้อนสถานะที่แท้จริงของโดเมน ไม่ใช่เมื่อถูกเข้มงวดขึ้นเนื่องจากแรงกดดันภายใน
เริ่มจากโดเมนที่มองเห็นได้ก่อน จากนั้นค่อยดูโดเมนย่อยที่ทำงานโดยไม่ให้ผู้ใช้รู้ตัว
ป้อนโดเมนลงในเครื่องมือและตรวจสอบนโยบายที่เผยแพร่ จากนั้นดูโดเมนย่อยที่ใช้สำหรับจดหมายข่าว การสนับสนุน การเรียกเก็บเงิน หรือข้อความธุรกรรม การตรวจสอบครั้งที่สองนี้มักจะพบปัญหามากกว่าครั้งแรก เนื่องจากโดเมนย่อยที่ใช้งานจริงจะถูกกำหนดค่าเพียงครั้งเดียวแล้วก็จะหายไปจากหน่วยความจำของระบบ
การเมืองไม่ใช่เครื่องหมายแสดงถึงวุฒิภาวะ
p=ไม่มี การเฝ้าสังเกตอาการต่อไปอาจเป็นเรื่องที่เหมาะสม p = การกักกัน สามารถใช้ทดสอบแรงดันโดยไม่ต้องปิดระบบทุกอย่าง p = ปฏิเสธ สิ่งนี้สมเหตุสมผลเมื่อโดเมนไม่ขึ้นอยู่กับผู้ส่งแบบฉับพลันอีกต่อไป การพิจารณาเฉพาะคำที่เผยแพร่ออกไปนั้นไม่เพียงพอ ต้องอ่านควบคู่ไปกับ... สอง, เรียก, พีซี, ฉันเห็นด้วย. และ เอเอสเอฟ.
คำถามที่นำไปสู่การตรวจสอบครั้งนี้ง่ายมาก: หากอีเมลที่ถูกต้องใช้งานไม่ได้ในวันพรุ่งนี้ เราจะรู้หรือไม่ว่าอีเมลนั้นมาจากระบบใด และต้องปรับเปลี่ยนอะไรบ้าง? หากคำตอบคือไม่ บางทีโดเมนอาจยังไม่พร้อมที่จะรองรับความต้องการที่สูงเช่นนี้
อย่าเปลี่ยนการแก้ไขปัญหา DNS ให้กลายเป็นการย้ายระบบทั้งหมด
ข้อมูลที่ขาดหายไป ข้อมูลซ้ำ ที่อยู่ไม่ถูกต้อง และข้อผิดพลาดทางไวยากรณ์ สามารถแก้ไขได้โดยการทำตามขั้นตอนการวินิจฉัยของเครื่องมือ หากทำตามคำแนะนำของพวกเขา คุณจะสามารถปรับแต่งระเบียน DNS ของคุณได้อย่างถูกต้องแต่ควรทำทีละเล็กทีละน้อย ในโดเมนที่มีผู้ให้บริการหลายราย การแก้ไขทุกอย่างพร้อมกันจะทำให้ไม่สามารถติดตามได้ว่าการแก้ไขใดช่วยแก้ปัญหา และการปรับเปลี่ยนใดก่อให้เกิดปัญหาใหม่
- หาก DMARC เป็นระบบใหม่: ยืนยันว่ามีบันทึกอยู่จริงและได้รับรายงานแล้ว
- หากคุณเปลี่ยนผู้ให้บริการ: ตรวจสอบระบบ CRM, การตลาดทางอีเมล, การสนับสนุนลูกค้า, การเรียกเก็บเงิน และแบบฟอร์มต่างๆ
- หากเกิดปัญหาในการจัดส่ง: แยกการตรวจสอบความน่าเชื่อถือออกก่อนที่จะเริ่มแคมเปญใหม่
- ถ้าคุณจะทำให้ร่างกายแข็งแกร่งขึ้น: ขั้นแรก ตรวจสอบผู้ส่งที่ไม่สามารถหยุดการทำงานได้
ปัญหาการส่งมอบสินค้าไม่สามารถแก้ไขได้ด้วยฉลากเพียงอย่างเดียว
DMARC ไม่ได้รับประกันความปลอดภัยของกล่องจดหมายเข้าเสมอไป แม้จะมีนโยบายที่ดีแล้ว อีเมลก็อาจล้มเหลวได้เนื่องจากปัญหาด้านชื่อเสียง รายชื่อผู้รับที่ไม่ดี เนื้อหาที่ไม่น่าเชื่อถือ หรือปริมาณอีเมลที่จัดการไม่ดี การยืนยันตัวตนที่สม่ำเสมอจะช่วยขจัดข้อสงสัยทางเทคนิคที่สำคัญได้ หากโดเมนไม่ได้ระบุผู้ส่งอย่างชัดเจน การปรับปรุงอื่นๆ ก็จะเริ่มต้นด้วยข้อเสียเปรียบ
การใช้แบรนด์ในทางที่ผิด การแสวงหาประโยชน์จากช่องโหว่ทางกฎหมาย
ผู้โจมตีไม่จำเป็นต้องรู้โครงสร้างพื้นฐานทั้งหมดของคุณเพื่อพยายามใช้โดเมนของคุณสำหรับการชำระเงินปลอม การสนับสนุน หรือการแจ้งเตือนการเข้าถึงภายใน หากนโยบายเพียงแค่ตรวจสอบ ผู้รับอาจมีเหตุผลน้อยลงที่จะบล็อก เมื่อการตรวจสอบสิทธิ์สอดคล้องกันและนโยบายกำหนดให้มีการตอบสนอง การปลอมแปลงโดเมนโดยตรงจะทำได้ยากขึ้น มันไม่ได้กำจัดการโจมตีด้วยโดเมนที่คล้ายคลึงกันหรือการหลอกลวงทางสายตา แต่ช่วยลดช่องทางที่เปราะบางมากได้ 🔒
บางครั้งผลลัพธ์ที่มีค่าที่สุดก็คือการไม่แตะต้องมันในตอนนี้
เครื่องมือตรวจสอบ DMARC ช่วยให้คุณเข้าถึงสถานะการรับรองความถูกต้องของโดเมนของคุณได้อย่างรวดเร็วและง่ายดายคุณค่าของมันอยู่ที่สิ่งที่มันบังคับให้คุณต้องตั้งคำถามในภายหลัง: ผู้ส่งรายใดบ้างที่ได้รับความคุ้มครอง ผู้ส่งรายใดบ้างที่ถูกละเว้น รายงานใดบ้างที่ได้รับการตรวจสอบ และอีเมลที่ถูกต้องตามกฎหมายใดบ้างที่อาจได้รับผลกระทบหากนโยบายมีการเปลี่ยนแปลงในวันนี้
หากโดเมนมีการจัดการที่ดี การดำเนินการต่อไปก็สมเหตุสมผล แต่หากการตรวจสอบพบช่องโหว่ วิธีที่ดีที่สุดอาจเป็นการอุดช่องโหว่เหล่านั้นก่อนที่จะเสริมความปลอดภัย ความแตกต่างนี้อาจไม่ชัดเจนในทันที แต่เป็นสิ่งที่แยกความแตกต่างระหว่างการกำหนดค่าที่ปลอดภัยกับการกำหนดค่าที่ดูเหมือนปลอดภัยเท่านั้น
